Analityczne wykorzystywanie plików cookies
CVE-2024-3021: Wrażliwość Stored XSS w wtyczce Mhr Post Ticker dla WordPress
Wtyczka Mhr Post Ticker do WordPress ma lukę Stored XSS w wersjach do 1.1. Zagrożenie dotyczy multisite i wyłączonego unfiltered_html.
- CVSS
- 4.4 MEDIUM
- EPSS
- 37.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Mhr Post Ticker dla WordPress do wersji 1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez wartość nagłówka tytułu. Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie dotyczy głównie środowisk multisite i wymaga uwagi właścicieli stron WordPress korzystających z tej wtyczki.
Rekomendowane działania administratora
Zaleca się przejrzenie dostępnych aktualizacji wtyczki Mhr Post Ticker i ich szybkie zastosowanie. W przypadku braku łatki warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite lub tam, gdzie unfiltered_html jest wyłączone. Priorytetowo traktuj przegląd i weryfikację konfiguracji bezpieczeństwa WordPress.